Cour d'appel, 4ème chambre commerciale, 15 juin 2026 — n° 24/00486

* * * EXPOSE DES FAITS ET DE LA PROCEDURE 1. La SARL [Localité 1] Termites, spécialisée dans le traitement des bois de construction contre les parasites, a ouvert dans les livres de la SA Banque CIC Sud-Ouest un compte courant entreprise n° [XXXXXXXXXX01] et a souscrit au contrat Filbanque de la Banque CIC Sud-Ouest, service de banque à distance, lui permettant d'effectuer, via Internet, des opérations et notamment des ordres de virement dématérialisés. Le 13 décembre 2021, Mme [C] [Z], secrétaire comptable de la société [Localité 1] Termites, a reçu un appel téléphonique d'une personne se présentant comme un représentant du service technique de la banque CIC l'informant qu'un problème avait été enregistré sur les comptes de la société [Localité 1] Termites, entre le 6 décembre et le 9 décembre 2021, et que deux virements se seraient trouvés en attente. Après avoir refusé dans un premier temps, la salariée a ensuite communiqué des informations confidentielles, notamment des identifiants du compte et le mot de passe, permettant l'ajout de nouveaux bénéficiaires, [D] [T] et Groupe CGE TP. Dans la soirée du 13 décembre et le 14 décembre 2021, huit virements ont été effectués depuis le compte de la société [Localité 1] Termites pour un montant total de 97 084,38 euros, au profit de plusieurs comptes tiers, situés en France et à l'étranger, dont ceux de [D] [T] et Groupe CGE TP, ainsi que d'anciens fournisseurs. La société [Localité 1] Termites a contesté être à l'origine de ces virements et a déposé plainte pour escroquerie le 14 décembre 2021. À la suite d'un rappel de fonds effectué par la banque CIC Sud Ouest, une somme de 4 614,38 euros a été récupérée, laissant subsister un solde de 92 470 euros non restitué. Par courrier du 15 juin 2022, la banque a indiqué à la société [Localité 1] Termites ne pas pouvoir restituer les fonds considérant qu'elle avait fait preuve de négligence dans la conservation de ses informations confidentielles. 2. Par acte extrajudiciaire du 4 janvier 2023, la société [Localité 1] Termites a assigné la Banque CIC Sud Ouest en paiement devant le tribunal de commerce de [Localité 1]. 3. Par jugement rendu le 12 janvier 2024, le tribunal de commerce de Bordeaux a : - débouté la société [Localité 1] Termites de l'ensemble de ses demandes, - condamné la société [Localité 1] Termites à verser à la Banque CIC Sud-Ouest la somme de 3 000 euros au titre des dispositions de l'article 700 du code de procédure civile, - condamné la société [Localité 1] Termites aux dépens. 4. Par déclaration en date du 1er février 2024, la société [Localité 1] Termites a relevé appel de ce jugement en ses chefs expressément critiqués intimant la société Banque CIC Sud Ouest. MOYENS ET PRÉTENTIONS DES PARTIES 5. Par dernières conclusions notifiées par RPVA, le 31 mars 2026, auxquelles la cour se réfère expressément, la société [Localité 1] Termites demande à la cour de : Vu les articles L133-6 et suivants du code monétaire et financier, Vu les articles 1240 et suivants du code civil, - déclarer la société [Localité 1] Termites bien fondée en son appel, ses demandes, fins et conclusions, - infirmer le jugement rendu par le tribunal de commerce de [Localité 1] en date du 5 avril 2024 en toutes ses dispositions, et plus précisément en ce que les demandes de la société [Localité 1] Termites ont été intégralement rejetées, - débouter le CIC Sud Ouest de l'ensemble de ses demandes, fins et prétentions, Et statuant à nouveau : - condamner le CIC Sud Ouest à payer à la société [Localité 1] Termites la somme de 92 470 euros en remboursement des opérations frauduleuses, outre les intérêts postérieurs majorés, à compter des opérations frauduleuses, - condamner le CIC Sud Ouest au paiement de la somme de 8 000 euros au titre de l'article 700 du code de procédure civile, - condamner le CIC Sud Ouest aux entiers dépens. 6.

MOTIFS DE LA DECISION Sur la responsabilité de la banque sur le fondement de l'article L. 133-18 du code monétaire et financier Moyens des parties 8. La société [Localité 1] Termites demande à la cour d'infirmer le jugement rendu le 12 janvier 2024 en toutes ses dispositions et de condamner la Banque CIC Sud Ouest à lui payer la somme de 92 470 euros correspondant aux virements litigieux. Elle soutient, au visa des articles L.133-6, L.133-18 et L.133-23 du code monétaire et financier, que les opérations litigieuses n'étaient pas autorisées, faute de consentement, et qu'il incombe à la banque de prouver leur authentification ainsi que l'absence de défaillance technique. Elle fait valoir que la banque ne rapporte pas la preuve d'une négligence grave de sa part, soutenant que celle-ci ne peut être déduite de la seule utilisation des données de sécurité et que la fraude, qui s'inscrit dans un mécanisme de « spoofing », ne caractérise pas une négligence grave. Elle invoque également l'absence d'authentification forte au sens de l'article L.133-44 du code monétaire et financier, estimant que le système utilisé ne garantit pas l'indépendance des facteurs d'authentification dès lors que la compromission des identifiants (connaissance) a entraîné la compromission de tous les autres éléments (carte de clés, codes SMS). Elle soutient enfin que les conditions générales invoquées par la banque ne lui sont pas opposables n'étant ni paraphées, ni acceptées et que celles visées dans la convention de compte sont les conditions référencées N°CI.06.00 07/15. 9. La banque CIC Sud-Ouest, qui sollicite la confirmation du jugement dont appel, fait valoir que les conditions générales relatives au contrat de Banque à distance Filbanque, acceptées par la société [Localité 1] Termites lors de la conclusion du contrat, stipulent que l'usage du dispositif de sécurité personnalisé vaut preuve du consentement du titulaire du compte. Elle expose que dès lors que toutes les opérations ont été initiées depuis le service de Banque à distance qui comporte un système d'authentification forte nécessitant de renseigner les identifiants et mot de passe confidentiels, de saisir les coordonnées du bénéficiaire des virements permanents, de saisir la clé contenue dans l'une des cases de la carte de clés personnelles confidentielle remise au titulaire du compte puis de confirmer la création du bénéficiaire en saisissant le code reçu par SMS, les ordres de virements en question ont été dûment autorisées par la société [Localité 1] Termites conformément à l'article 5.3 des conditions générales applicables au contrat de Banque à Distance, de sorte que l'appelante ne peut se prévaloir des dispositions de l'article L. 133-18 du code monétaire et financier, ajoutant que la salariée de la société [Localité 1] Termites a expressément reconnu avoir communiqué, par téléphone, les codes strictement confidentiels permettant l'accès au service Filbanque ainsi que les codes confidentiels permettant de créer un nouveau bénéficiaire et de valider une opération de virement externe. La banque CIC Sud Ouest soutient que la société [Localité 1] Termites a fait preuve de négligence grave en communiquant des identifiants et mots de passe strictement confidentiels excluant ainsi tout remboursement des sommes correspondant aux ordres de virements litigieux, le caractère autorisé des opérations contestées imposant en tout état de cause le rejet de la demande de remboursement formée par l'utilisateur de services de paiement. Réponse de la cour 10. Selon les articles L. 133-6 et L. 133-7 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution sous la forme convenue entre le payeur et son prestataire de services de paiement. L'article L.133-18 du code monétaire et financier, dans sa version applicable au litige, dispose : « En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu. Lorsque l'opération de paiement non autorisée est initiée par l'intermédiaire d'un prestataire de services de paiement fournissant un service d'initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l'opération non autorisée et, le cas échéant, rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n'est pas postérieure à la date à laquelle il avait été débité. Si le prestataire de services de paiement qui a fourni le service d'initiation de paiement est responsable de l'opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l'opération de paiement non autorisée. Le payeur et son prestataire de services de paiement peuvent décider contractuellement d'une indemnité complémentaire.» Selon l'article L.133-23 du même code, 'Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement'. En application de l'article L. 133-2 du même code, 'Sauf dans les cas où l'utilisateur est une personne physique agissant pour des besoins non professionnels, il peut être dérogé par contrat aux dispositions de l'article L. 133-1-1, des deux derniers alinéas de l'article L. 133-7, des articles L. 133-8, L. 133-19, L. 133-20, L. 133-22, L. 133-23, L. 133-25, L. 133-25-1, L. 133-25-2 et aux I et III de l'article L. 133-26.' 11. Ainsi que le soutient justement la banque, cet article L. 133-2 du code monétaire et financier autorise les parties au contrat, notamment en présence d'une personne morale, à aménager la preuve du consentement du payeur par dérogation à l'article L. 133-23 du même code. 12.

PAR CES MOTIFS La cour, statuant publiquement, contradictoirement et en dernier ressort : Confirme le jugement entrepris en toutes ses dispositions, Y ajoutant, Condamne la société [Localité 1] Termites aux dépens d'appel, dont distraction au profit de Maître Alexandra Veillard, SELARL Racine, en application des dispositions de l'article 699 du code de procédure civile, Condamne la société [Localité 1] Termites à payer à la Banque CIC Sud Ouest la somme de 3 000 euros sur le fondement des dispositions de l'article 700 du code de procédure civile. Le présent arrêt a été signé par Monsieur Jean-Pierre FRANCO, président, et par Monsieur Hervé GOUDOT, greffier, auquel la minute de la décision a été remise par le magistrat signataire. Le Greffier Le Président La République française, au nom du peuple français, mande et ordonne à tous commissaires de justice, sur ce requis, de mettre le dit arrêt à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous commandants et officiers de la force publique de prêter main forte lorsqu'ils en seront légalement requis. En foi de quoi, le présent arrêt a été signé par le président et le greffier.